圈小蛙

WordPress插件警报:严重SQL注入漏洞威胁20万多个网站

一个名为“Ultimate Member”的流行WordPress插件被披露了一个严重的安全漏洞,该插件的活跃安装量超过20万次。

该漏洞的编号为CVE-2024-1071,CVSS评分为9.8分(满分 10 分)。安全研究人员Christiaan Swiers发现并报告了该漏洞。

在上周发布的一份公告中,WordPress安全公司Wordfence表示,该插件“很容易通过2.1.3至2.8.2版本中的‘sorting’参数进行SQL注入,原因是用户提供的参数转义不充分,而且现有SQL查询缺乏足够的准备”。

因此,未经身份验证的攻击者可以利用该漏洞将额外的 SQL 查询附加到现有查询中,并从数据库中提取敏感数据。

值得注意的是,该问题仅影响在插件设置中选中“为usermeta数据启用自定义表”选项的用户。

继2024年1月30日负责任的披露之后,插件开发人员已于2月19日发布了2.8.3版,对该漏洞进行了修复。

建议用户尽快将该插件更新到最新版本,以减轻潜在威胁,特别是考虑到Wordfence在过去24小时内已经阻止了一次试图利用该漏洞的攻击

2023年7月,同一插件中的另一个缺陷(CVE-2023-3460,CVSS 评分:9.8)被威胁行为者积极利用,以创建流氓管理员用户并夺取易受攻击网站的控制权。

在这一事态发展之前,一种新的活动激增,这种活动利用被入侵的WordPress网站直接注入Angel Drainer等加密货币泄密程序,或将网站访问者重定向到包含泄密程序的Web3钓鱼网站。

Sucuri研究员Denis Sinegubko表示:“这些攻击利用网络钓鱼策略和恶意注入来利用Web3生态系统对直接钱包交互的依赖,给网站所有者和用户资产的安全带来重大风险。”

它还发现了一种名为 CG( CryptoGrab的缩写)的新的“挖矿即服务” (DaaS) 计划,该计划运行着一个由1万名成员组成的强大联盟项目,由讲俄语、英语和汉语的使用者组成。

Cyfirma在上个月底的一份报告中表示,其中一个由攻击者控制的Telegram频道“将攻击者推荐了一个Telegram机器人,使他们能够在没有任何第三方依赖的情况下进行欺诈操作” 。

“该机器人允许用户免费获得一个域名,为新域名克隆一个现有模板,设置诈骗资金应该发送的钱包地址,还为该新域名提供Cloudflare保护”。

据观察,该威胁组织还使用了两个名为SiteCloner和CloudflarePage的定制电报机器人,分别克隆现有的合法网站并为其添加 Cloudflare 保护。然后,这些网页主要通过被入侵的 X(前 Twitter)账户进行传播。

Exit mobile version